Datenschutz- und KI-Regulierungen: Was erwartet Arbeitgeber in Großbritannien und der EU im Jahr 2024?

Im Laufe des Jahres 2024 rückt das Zusammenspiel von Datenschutz und künstlicher Intelligenz (KI) nicht nur in Großbritannien, sondern weltweit in den Fokus. Das mit Spannung erwartete EU-KI-Gesetz, das oft als „weltweit erstes umfassendes KI-Gesetz“ bezeichnet wird, steht kurz vor der Umsetzung. Im Dezember 2023 erzielten das Europäische Parlament und der Europäische Rat eine vorläufige Einigung über dessen Inhalt. Obwohl der endgültige Text noch nicht veröffentlicht wurde, geben frühere Entwürfe bereits Aufschluss. Die Verabschiedung wird für Anfang 2024 erwartet, das vollständige Inkrafttreten ist für zwei Jahre später geplant. 

Arbeitgeber sollten beachten, dass der Einsatz von KI in Arbeitsumgebungen mit hohem Risiko defider gesetzlichen Definition zusätzlichen Compliance-Pflichten und Schutzmaßnahmen unterliegt. Der EU-KI-Act hat globale Geltung und betrifft internationale Unternehmen, die KI innerhalb der EU einsetzen, unabhängig von ihrem Hauptsitz. Verstöße gegen diese Verordnung können erhebliche Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes nach sich ziehen.

Britische Regulierung von KI: Ein anderer Ansatz

Im Gegensatz zum strengen Ansatz der EU verfolgt Großbritannien einen anderen Weg und verzichtet auf eine umfassende KI-Gesetzgebung. Stattdessen konzentriert man sich auf die Förderung von Innovationen sowie branchenspezifische Regelungen und Leitlinien. Kritiker, darunter die Gleichstellungs- und Menschenrechtskommission (EHRC), bemängeln, dass der britische Ansatz unzureichend sei. Dennoch gibt es Anzeichen für regulatorische Fortschritte, beispielsweise den Gesetzentwurf zur Regulierung künstlicher Intelligenz (Artificial Intelligence (Regulation) Bill), einen kurzen Gesetzesentwurf eines Abgeordneten, der im November 2023 eingebracht wurde. Dieser Gesetzentwurf zielt darauf ab, eine zentrale KI-Behörde einzurichten, die für die Überwachung der KI-Regulierung zuständig ist.

Ein Hoffnungsschimmer keimte im September 2023 auf, als der britische Gewerkschaftsbund (TUC) dringende Gesetze zum Schutz der Arbeitnehmerrechte forderte und eine Arbeitsgruppe für Künstliche Intelligenz (KI) einrichtete. Diese Arbeitsgruppe plant, Anfang 2024 einen Entwurf für ein KI- und Beschäftigungsgesetz vorzulegen. Sie wird sich für Gesetzesänderungen der britischen Datenschutz-Grundverordnung (DSGVO) einsetzen, um potenzielle Probleme wie diskriminierende Algorithmen und Gefährdungen der Datenschutzrechte im Zusammenhang mit der KI-gestützten Analyse von Gesichtsausdrücken, Tonfall und Akzenten bei der Beurteilung von Bewerbern anzugehen.

Möglicher Austritt Großbritanniens aus der DSGVO

Nach dem Brexit legte die britische Regierung den Gesetzentwurf zum Datenschutz und zu digitalen Informationen vor, der den britischen Datenschutzrahmen vereinfachen und modernisieren soll. Während diese Gesetzesänderung die Einhaltung der Datenschutzbestimmungen für inländische Unternehmen erleichtern könnte, werden internationale Arbeitgeber voraussichtlich weiterhin die strengen DSGVO-Standards einhalten müssen. Besorgniserregend ist, ob diese Abkehr von der DSGVO den Angemessenheitsbeschluss der EU für Großbritannien gefährden könnte. Der Verlust dieses Beschlusses könnte für britische Unternehmen, die Datentransfers aus der EU abwickeln, zusätzlichen bürokratischen Aufwand bedeuten. Die Verabschiedung des Gesetzes wird für Frühjahr 2024 erwartet, wobei der Zeitpunkt durch die bevorstehende britische Wahl beeinflusst werden könnte.

Leitlinien des ICO und Überprüfung durch die Europäische Kommission

Das Information Commissioner’s Office (ICO), die britische Datenschutzbehörde, wird voraussichtlich weitere Leitlinien veröffentlichen, um auf die technologischen und rechtlichen Entwicklungen zu reagieren. Dazu gehören erweiterte Ressourcen zum Thema Künstliche Intelligenz und gezielte Beratung für Arbeitgeber, insbesondere im Hinblick auf internationale Datentransfers und bewährte Verfahren. Derzeit bittet das ICO um Stellungnahmen zu einem Leitlinienentwurf, der verschiedene Themen wie die Aufbewahrung von Personalakten sowie Rekrutierung und Auswahl abdeckt.

Die Europäische Kommission wird die EU-Datenschutz-Grundverordnung (DSGVO) im Jahr 2024 überprüfen. Obwohl die DSGVO die Datenschutzbestimmungen weitgehend harmonisiert und den Datenschutz verbessert hat, könnten einige kleinere Aspekte, wie beispielsweise der Aufwand für die Einhaltung der Vorschriften für kleine Organisationen, genauer unter die Lupe genommen werden.

Regulatorische Schwerpunkte: KI im Personalwesen und Datenschutz im Finanzdienstleistungssektor

Im Rahmen seiner strategischen Agenda hat sich das ICO verpflichtet, die Rolle von KI bei der Personalbeschaffung und der Einhaltung von Datenschutzbestimmungen im Finanzdienstleistungssektor genauer zu untersuchen. Im Oktober 2023 erließ das ICO eine vorläufige Anordnung zur Durchsetzung von Vorschriften gegen ein Technologieunternehmen, da dieses die Datenschutzrisiken eines generativen KI-Chatbots möglicherweise nicht ausreichend bewertet hatte. Dies deutet auf eine wahrscheinliche Zunahme von Durchsetzungsmaßnahmen des ICO gegen Unternehmen hin, die die datenschutzrechtlichen Implikationen generativer KI vernachlässigen.

Zusammenfassend lässt sich sagen, dass 2024 ein entscheidendes Jahr für Datenschutz und KI-Regulierung in Großbritannien und der EU sein dürfte. Während das EU-KI-Gesetz eine umfassende KI-Aufsicht verspricht, verfolgt Großbritannien einen stärker branchenorientierten Ansatz. Beide Regionen bewegen sich im komplexen Spannungsfeld von Datenschutz und KI, was potenzielle Auswirkungen auf Arbeitgeber, Datenverantwortliche und Technologieinnovatoren haben kann.